AI Act : ce qui s’applique vraiment depuis le 2 août 2026

Depuis le 2 août 2026, l’essentiel du règlement européen sur l’intelligence artificielle s’applique, mais pas ce que la plupart des articles publiés cette année annonçaient. Un texte adopté cet été, le « Digital Omnibus on AI », a repoussé les obligations les plus lourdes, celles qui visent les systèmes dits à haut risque, du 2 août 2026 au 2 décembre 2027. Ce qui est réellement entré en application le 2 août 2026, c’est l’obligation de transparence, les pouvoirs de sanction des autorités nationales et l’encadrement de la formation des équipes.

La conséquence pratique tient en deux phrases. Si vous avez lu ces derniers mois qu’il fallait être conforme « haut risque » pour août 2026, l’information est périmée. Et si vous en avez conclu qu’il n’y avait plus rien à faire cette année, elle l’est tout autant : trois obligations s’appliquent dès maintenant, et l’une d’elles concerne à peu près toutes les entreprises qui ont mis un chatbot sur leur site.

Ce qui a changé cet été : le Digital Omnibus

Le règlement (UE) 2026/1744, surnommé « Digital Omnibus on AI », a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il modifie le règlement (UE) 2024/1689, l’AI Act, ainsi que deux autres textes sectoriels. La Commission le présente comme une simplification ciblée : allègement des démarches pour les petites structures, élargissement des bacs à sable réglementaires, clarifications juridiques, et surtout report de plusieurs échéances.

Le parcours législatif a été rapide : proposition de la Commission le 19 novembre 2025, accord politique entre le Parlement et le Conseil le 7 mai 2026, vote du Parlement le 16 juin, feu vert définitif du Conseil le 29 juin. Le texte ajoute aussi une interdiction nouvelle, visant la génération de contenus intimes non consentis et de contenus pédocriminels.

Ce qu’il faut en retenir : le calendrier de l’AI Act publié un peu partout depuis 2024 n’est plus le bon, et beaucoup de sites de référence ne l’ont toujours pas mis à jour. Vérifier une date d’application sur une page rédigée avant août 2026 revient à consulter un horaire de train de l’année dernière.

Le calendrier réel de l’AI Act, à jour

Voici les échéances telles qu’elles s’appliquent après l’omnibus.

• 1er août 2024 : entrée en vigueur du règlement, sans obligation immédiate.
• 2 février 2025 : interdiction des pratiques listées à l’article 5, notation sociale, manipulation, reconnaissance d’émotions au travail et à l’école, moisson non ciblée d’images de visages, et entrée en application de l’obligation de formation de l’article 4.
• 2 août 2025 : obligations des modèles à usage général (GPAI), gouvernance européenne, régime de sanctions.
• 2 août 2026 : obligations de transparence de l’article 50, pouvoirs de contrôle et de sanction des autorités nationales, bacs à sable réglementaires opérationnels.
• 2 décembre 2027 : obligations applicables aux systèmes à haut risque de l’annexe III, au lieu du 2 août 2026.
• 2 août 2028 : obligations applicables aux systèmes à haut risque intégrés à des produits déjà réglementés, dispositifs médicaux ou machines industrielles par exemple, au lieu du 2 août 2027.

Ce qui s’applique depuis le 2 août 2026

L’obligation de transparence, article 50

C’est l’obligation la plus large, et la plus facile à respecter à condition d’y penser à la conception. L’article 50 couvre quatre situations. Un système d’IA qui interagit directement avec une personne doit l’informer qu’elle s’adresse à une machine, sauf si c’est manifeste au vu du contexte. Les contenus générés ou manipulés, son, image, vidéo, texte, doivent être marqués dans un format lisible par une machine. Les systèmes de reconnaissance d’émotions ou de catégorisation biométrique doivent informer les personnes exposées. Enfin, les hypertrucages (deepfakes) doivent être signalés comme tels par celui qui les diffuse.

Les exceptions sont étroites et méritent d’être connues : les outils d’édition standard qui ne modifient pas substantiellement le contenu, les œuvres artistiques, satiriques ou de fiction, avec une divulgation allégée, et les textes générés par IA ayant fait l’objet d’une relecture humaine sous responsabilité éditoriale.

Concrètement, sur un site ou une application : une mention claire à l’ouverture de la fenêtre de discussion, pas une ligne perdue dans les conditions générales. Si vous exploitez un assistant conversationnel, c’est le premier point à corriger, nous détaillons les autres dans notre article sur les chatbots et leurs limites.

Les pouvoirs de sanction, et leurs paliers

Depuis le 2 août 2026, les autorités nationales peuvent effectivement sanctionner. L’article 99 prévoit trois paliers, chacun retenant le montant le plus élevé entre une somme fixe et un pourcentage du chiffre d’affaires annuel mondial : jusqu’à 35 millions d’euros ou 7 % pour les pratiques interdites, jusqu’à 15 millions ou 3 % pour les autres obligations, dont la transparence, et jusqu’à 7,5 millions ou 1 % pour la communication d’informations inexactes aux autorités. Pour les PME et les start-up, la règle s’inverse : c’est le montant le plus faible des deux qui s’applique, et les États membres doivent tenir compte de la viabilité de l’entreprise.

La formation des équipes

L’obligation de « maîtrise de l’IA » existe depuis février 2025 : fournisseurs et déployeurs doivent assurer un niveau suffisant de compréhension de l’IA chez les personnes qui l’utilisent pour leur compte. L’omnibus l’a assouplie et confie aux autorités un rôle renforcé de promotion. Elle reste toutefois la seule obligation qui touche l’organisation plutôt que le produit, et la plus simple à documenter : une note d’usage interne, une session de formation, une trace écrite. C’est aussi le meilleur antidote au shadow AI, ces outils d’IA adoptés par les équipes en dehors de tout cadre.

Ce qui est reporté, et pourquoi ne pas attendre

Un système à haut risque, c’est quoi exactement

L’annexe III liste huit domaines : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi et gestion des travailleurs, accès aux services essentiels, dont l’évaluation de solvabilité et la tarification en assurance, forces de l’ordre, migration et contrôle aux frontières, administration de la justice et processus démocratiques.

Pour une entreprise ordinaire, la catégorie qui mord est presque toujours la même : l’emploi. Un outil qui trie des candidatures, évalue des performances ou répartit des tâches entre des salariés entre dans le champ, même s’il s’agit d’une fonctionnalité d’un logiciel acheté sur étagère. Le report de décembre 2027 ne change pas cette qualification : il change seulement la date à laquelle il faudra pouvoir la documenter.

Dix-huit mois, ce n’est pas beaucoup

La conformité haut risque n’est pas une case à cocher. Elle suppose un système de gestion des risques, une documentation technique, une gouvernance des données d’entraînement, la journalisation des événements, une supervision humaine effective et une évaluation de la conformité. Pour un système acheté, cela suppose surtout d’obtenir ces éléments de votre fournisseur, donc de les inscrire dans un contrat, ce qui prend des mois quand le contrat court déjà.

Le calcul est simple : les entreprises qui attendront la fin 2027 pour s’y mettre découvriront au même moment que leurs fournisseurs sont saturés. Celles qui utilisent le report pour cartographier et négocier auront un chantier étalé plutôt qu’un mur.

Est-ce que ça me concerne ?

Deux questions suffisent à se situer, et elles se posent dans cet ordre.

Première question : êtes-vous fournisseur ou déployeur? Le fournisseur développe ou fait développer un système d’IA et le met sur le marché sous son nom. Le déployeur l’utilise sous sa propre autorité. La grande majorité des PME et des ETI sont déployeurs, elles achètent un outil et l’intègrent à leurs processus. Attention toutefois : intégrer un modèle via une API dans votre propre produit et le proposer à vos clients vous fait basculer du côté fournisseur, avec des obligations nettement plus lourdes.

Deuxième question : à quel niveau de risque appartient chaque usage? Le règlement en distingue quatre. Les pratiques interdites, applicables depuis février 2025. Les systèmes à haut risque, reportés à décembre 2027. Les systèmes soumis à transparence, applicables depuis août 2026, chatbots, contenus générés, deepfakes. Et tout le reste, le risque minimal, sans obligation spécifique.

Dans les faits, le cas le plus fréquent chez nos clients combine deux choses : une majorité d’usages à risque minimal, rédaction, synthèse de documents, aide au code, et une ou deux obligations de transparence dès qu’un système parle au public. Une transformation IA bien cadrée traite ces deux points en quelques jours, pas en quelques mois.

Cinq actions à mener d’ici décembre 2027

• Faire l’inventaire des usages. Lister chaque endroit où de l’IA intervient : outils achetés, fonctionnalités activées dans un logiciel existant, développements internes, et usages informels des équipes. C’est le point de départ, et il révèle presque toujours des usages que la direction ignorait.
• Classer chaque usage. Interdit, haut risque, transparence, minimal. Une ligne par usage, avec la raison du classement. Ce tableau est la pièce que demandera une autorité, et celle que réclamera un client grand compte dans son questionnaire d’achat.
• Poser la transparence là où il y a du public. Mention à l’ouverture d’un chat, signalement des contenus générés, information des personnes en cas d’analyse biométrique. C’est du travail de produit, pas du travail juridique.
• Écrire une politique d’usage et former. Ce qui est autorisé, avec quelles données, dans quels outils, et qui valide quoi. Une page suffit pour commencer, et elle couvre l’obligation de formation.
• Regarder les contrats fournisseurs. Où sont hébergées et journalisées les données, pour combien de temps, avec quels sous-traitants, et que se passe-t-il si vous partez. C’est le même exercice que pour la souveraineté des données IA, et il se fait une seule fois pour les deux sujets.

L’AI Act ne remplace pas le RGPD

Les deux textes se cumulent, et c’est une source de confusion fréquente. L’AI Act encadre le système : ce qu’il fait, comment il a été construit, ce qu’on doit dire aux personnes exposées. Le RGPD encadre les données personnelles qui le traversent : base légale, minimisation, durée de conservation, droits des personnes, transferts hors Union européenne.

Un assistant interne branché sur vos documents relève des deux : de l’AI Act pour la transparence et la formation, du RGPD dès qu’un document contient des données personnelles. La CNIL publie des recommandations spécifiques à l’IA, et son guide RGPD du développeur reste la référence côté conception. Si votre site collecte par ailleurs des données, notre article sur la conformité RGPD d’un site internet couvre le volet web.

Ce que nous en retenons

L’AI Act n’est pas un mur qui tombe à une date donnée : c’est une série d’échéances, dont deux viennent d’être déplacées. Pour la plupart des entreprises françaises, l’exercice de 2026 n’est pas un projet de conformité lourd, c’est un inventaire honnête suivi de deux ou trois corrections de produit. Le vrai chantier, celui des systèmes à haut risque, commence maintenant pour se terminer en décembre 2027, et il se joue autant avec vos fournisseurs qu’en interne.

Chez Scroll, nous cadrons ces sujets au moment où ils coûtent le moins cher : avant de construire. Si vous avez un projet d’assistant, d’agent ou d’automatisation intelligente et que la question de la conformité vous freine, parlons-en : c’est généralement plus court qu’on ne le craint.